针对php2shell高危漏洞，无法立即升级到修复版本的紧急措施

针对php2shell高危漏洞，无法立即升级到修复版本的紧急措施

PHP 官方已披露两起严重的未经身份验证远程代码执行漏洞（CVE-2026-109618、CVE-2026-109619），并为PHP v8.2 之后的版本提供了安全补丁。对于 PHP 8.1 及更早版本已结束常规生命周期，建议按以下方案处置：

一、躲到 cloudflare 背后
Cloudflare 已于UTC时间10月21日凌晨3:02起（北京时间11:02），为所有WAF用户（包括免费版）默认启用了针对php2shell两个高危漏洞的防护。可以为后续补救争取时间。

二、 紧急缓解措施，降低暴露面

须在全局配置生效，如 php.ini 或 FPM Pool，不能用 ini_set 或 .user.ini。

针对 CVE-2026-109618（内存超限漏洞）：

使用 php_admin_value 强制设置 memory_limit = -1，防止代码覆盖并避免触发 PHP 内部内存限制；

调低请求大小：无文件上传设 post_max_size = 8M，有上传设 32M；

在前置 Nginx/WAF 层面限制请求头数量、字段数与嵌套深度；切勿使用系统的 RLIMIT_AS 或 RLIMIT_DATA。

针对 CVE-2026-109619（状态残留漏洞）：

在 php.ini 设置 session.upload_progress.enabled = 0，并重启所有 Worker 进程；

清除导致初始化前报警告的废弃配置，修复外部可触发的 Fatal Error 与超时错误。

要妥善解决安全隐患，还需要升级到受支持的修复版本（PHP 8.2.35、8.3.36、8.4.27 或 8.5.12）。但是大家也不需要太慌张，目前看，这两个漏洞没有简单的利用方法。